使用vertx的JWT公钥/私钥认证中的握手

Question

我创建了一个小型vertx auth服务器，它使用公钥/私钥签名/生成JWT令牌。

        PrivateKey privateKey = CertUtil.getPrivateKey("config/private_key.der");
        PublicKey publicKey = CertUtil.getPublicKey("config/public_key.der");

        // Create a JWT Auth Provider
        JWTAuth jwt = JWTAuth.create(vertx, new JWTAuthOptions()
                .setPubSecKeys(List.of(new PubSecKeyOptions()
                        .setAlgorithm("RS256")
                        .setPublicKey(Base64.getEncoder().encodeToString(publicKey.getEncoded()))
                        .setSecretKey(Base64.getEncoder().encodeToString(privateKey.getEncoded())))));
        // protect the API
        router.route("/api/*").handler(JWTAuthHandler.create(jwt, "/api/new-token"));

        // this route is excluded from the auth handler
        router.get("/api/new-token").handler(ctx -> this.generateAndSendToken(ctx, jwt));

        // this is the secret API
        router.get("/api/protected").handler(ctx -> {
            ctx.response().putHeader("Content-Type", "text/plain");
            ctx.response().end("a secret you should keep for yourself...");
        });

        vertx.createHttpServer().requestHandler(router).listen(8080);

现在，当我从客户端访问/api/new token时，我从上面的身份验证服务器获得了一个JWT令牌。然而，我有一些悬而未决的问题：

• auth-server如何确保客户端具有服务器公钥并且它是真实的？
• 客户端如何向auth-server发送公钥？
• 我怎样才能让 /api/new-token安全，只有合法的客户端可以连接到它？

Answer 1

您为什么不将此任务委托给keydape一个开源身份和访问管理系统呢。它为你的应用程序添加身份验证，并以最小的麻烦保护服务。

我们已经将其应用到我们的项目中，效果非常好！

用Vert将其插入。x、 你可以跟着这些短裙走：

• https://vertx.io/blog/vertx-3-and-keycloak-tutorial/